Vulnerabilidades de seguridad identificadas en Hitachi Energy MicroSCADA X SYS600

Hitachi Energy ha reconocido la existencia de fallos de seguridad en su producto MicroSCADA X SYS600, utilizado en infraestructuras críticas del sector energético global. La advertencia, disponible a través de una notificación de CISA (cisa.gov), detalla vulnerabilidades que abarcan desde la inyección de elementos en archivos CSV hasta problemas en la implementación de mecanismos de autenticación y control de acceso basado en roles (RBAC).

Las versiones de MicroSCADA X SYS600 hasta la 10.7 inclusive están afectadas por todas las vulnerabilidades identificadas. La versión 10.8 se presenta como solución para algunos de los problemas, si bien para otros requiere la implementación de estrategias de mitigación adicionales. Los sistemas MicroSCADA X SYS600 se despliegan en el sector energético a nivel mundial, lo que subraya la relevancia de estas revelaciones.

Se han detallado tres vulnerabilidades específicas:

• CVE-2026-9852 (Inyección CSV): Esta vulnerabilidad permite la inyección de fórmulas maliciosas en archivos CSV, lo que podría conducir a la adición o modificación de datos, la inserción de enlaces, la exfiltración de información e incluso la ejecución de código en la máquina del usuario, dependiendo de la configuración del entorno. Su explotación requiere que los atacantes puedan crear mensajes de registro arbitrarios. Esta vulnerabilidad se ha clasificado con una severidad MEDIUM (CVSS v3.1 Base Score 5.0, CVSS v4.0 Base Score 4.6) y afecta a las versiones 10.7 y anteriores. La remediación principal es la actualización a la versión 10.8.

• CVE-2026-9853 (Autenticación incorrecta): Un fallo en el sistema SYS600 permite que cualquier usuario autenticado en el sistema operativo del servidor que aloja la aplicación pueda leer y modificar objetos de la aplicación sin necesidad de autenticarse en el propio sistema SYS600. Este acceso sin autorización explícita al sistema se clasifica con una severidad HIGH (CVSS v3.1 Base Score 7.8, CVSS v4.0 Base Score 8.5) y afecta a las versiones 10.7 y anteriores. Para esta vulnerabilidad, la actualización a la versión 10.8 debe complementarse con la aplicación de una estrategia de mitigación específica, detallada en la documentación del producto, dado que la versión 10.8 también se lista como afectada por este CVE.

• CVE-2026-9854 (Escalada de privilegios RBAC): Una vulnerabilidad en el mecanismo RBAC de SYS600 permite que usuarios con acceso a las herramientas de ingeniería escalen sus privilegios a nivel de administrador en el sistema operativo Windows subyacente, obteniendo así control total sobre la máquina. Esta vulnerabilidad también se clasifica con una severidad HIGH (CVSS v3.1 Base Score 7.8, CVSS v4.0 Base Score 8.5) y afecta a las versiones 10.7 y anteriores. La remediación sugerida es la actualización a la versión 10.8.

Hitachi Energy recomienda a los usuarios actualizar a la versión 10.8 del producto y seguir las estrategias de mitigación proporcionadas en su documentación oficial. Adicionalmente, CISA aconseja medidas defensivas generales para sistemas de control, como minimizar la exposición de red, aislar las redes de control y utilizar métodos de acceso remoto seguros como las VPN.